Se ha identificado una vulnerabilidad de seguridad en Notepad++, uno de los editores de texto de código abierto más utilizados entre desarrolladores y profesionales de TI. La vulnerabilidad, registrada como CVE-2026-3008, podría permitir a un atacante remoto bloquear la aplicación o extraer información sensible de direcciones de memoria de los sistemas afectados. El fallo es una inyección de cadenas localizado en la función FindInFiles.

Se ha identificado una vulnerabilidad de seguridad en Notepad++, uno de los editores de texto de código abierto más utilizados entre desarrolladores y profesionales de TI.

La vulnerabilidad CVE-2026-3008 podría permitir a un atacante remoto bloquear la aplicación o extraer información sensible de direcciones de memoria de los sistemas afectados.

La vulnerabilidad es un fallo de inyección de cadenas ubicado en la funcionalidad FindInFiles de Notepad++. En concreto, el problema surge cuando el campo "find-result-hits" del archivo de configuración nativeLang.xml contiene un especificador de formato "%s", lo que desencadena un comportamiento inesperado durante las operaciones de búsqueda.

Este tipo de vulnerabilidad puede provocar un manejo incorrecto de la memoria, permitiendo a los actores maliciosos causar una condición de denegación de servicio (DoS) al bloquear la aplicación o recopilar información de direcciones de memoria que podría utilizarse en intentos de explotación posteriores.

La segunda, CVE-2026-6539, también se ha vinculado al mismo parche, lo que sugiere que se abordaron preocupaciones de seguridad adicionales junto con la vulnerabilidad principal.

Una explotación exitosa podría interrumpir los flujos de trabajo de desarrolladores, administradores de sistemas y analistas de seguridad que dependen de Notepad++ para sus operaciones diarias.

Las vulnerabilidades de divulgación de memoria, aunque a veces se consideran de baja gravedad de forma aislada, a menudo se encadenan con otros exploits para eludir mitigaciones de seguridad como la Aleatorización del Diseño del Espacio de Direcciones (ASLR).

Versión afectada

La vulnerabilidad afecta específicamente a:

• Notepad++ versión 8.9.3

Los usuarios que ejecuten versiones anteriores deben asumir que están igualmente en riesgo y aplicar el parche disponible sin demora.

Parche lanzado

El propietario del producto Notepad++, el Sr. Hazley Samsudin, ha respondido rápidamente lanzando la versión 8.9.4, que aborda directamente tanto el CVE-2026-3008 como el CVE-2026-6539.

La solución resuelve el comportamiento de bloqueo en la función FindInFiles cuando las cadenas de formato se analizan incorrectamente desde el archivo nativeLang.xml. Los detalles del parche están documentados públicamente en el repositorio oficial de Notepad++ en GitHub bajo el issue #17960.

Mitigaciones y recomendaciones

Se recomienda encarecidamente a todos los usuarios y administradores que ejecuten la versión afectada que tomen las siguientes medidas de inmediato:

• Actualizar a Notepad++ versión 8.9.4 a través del sitio web oficial de Notepad++ o del mecanismo de actualización integrado
• Verificar la integridad del instalador descargado utilizando sumas de comprobación oficiales
• Supervisar los sistemas en busca de cualquier comportamiento inusual de la aplicación que pueda indicar intentos de explotación previos

Dada la amplia implementación de Notepad++ en entornos empresariales y estaciones de trabajo de desarrolladores, las organizaciones deben priorizar esta actualización dentro de sus ciclos estándar de gestión de parches.

Se insta especialmente a los usuarios que dependen de configuraciones personalizadas de nativeLang.xml a aplicar la solución sin demora.